Microsoft 365 beveiligingsinstellingen controleren: je tenant is ouder dan je denkt

Microsoft heeft de standaardinstellingen van Microsoft 365 de afgelopen jaren flink aangescherpt. Een tenant die je vandaag aanmaakt, staat een stuk strakker afgesteld dan een tenant uit 2019 of 2021. Prettig nieuws, met één groot addertje: die aanscherpingen werken niet met terugwerkende kracht. Je Microsoft 365 beveiligingsinstellingen controleren begint daarom niet bij wat Microsoft vandaag standaard aanzet, maar bij wat er ooit in jouw tenant is gezet.

Als Microsoft in 2024 een standaard verandert voor nieuwe tenants, verandert er niets in de jouwe. Je omgeving houdt de instellingen die er ooit in zijn gezet. En alles wat er in de tussentijd is toegestaan — deellinks, doorstuurregels, goedkeuringen voor externe apps — blijft gewoon actief. Ook als de regel die het toestond inmiddels niet meer bestaat.

Vijf instellingen zijn het waard om na te lopen. Zeker als je tenant ouder is dan drie jaar, ooit is ingericht door een vorige IT-partij, of simpelweg al een tijd niet is bekeken. Twee dingen vooraf: sommige van deze knoppen vragen om Business Premium, E3 of E5, dus als iets grijs is, ligt dat meestal aan je licentie. En een paar wijzigingen merken je collega’s. Je hoeft ze niet allemaal tegelijk om te zetten.

1. Het standaardtype deellink in SharePoint en OneDrive

Als iemand een bestand deelt vanuit SharePoint of OneDrive, krijgt die link een standaardbereik. In tenants van vóór de aanscherping staat dat bereik vaak op “Iedereen met de link”. Wie de URL ontvangt, kan het bestand openen zonder in te loggen. Zonder vervaldatum. Zonder dat je ziet aan wie de link daarna is doorgestuurd.

Nieuwere sites die via Teams worden aangemaakt, staan standaard op “Alleen mensen in je organisatie”. Oudere sites en de instelling op tenantniveau laten “Iedereen”-links vaak nog gewoon toe. De offerte die een vertrokken medewerker een half jaar geleden naar zijn privéadres mailde, werkt dus nog steeds — tenzij iemand die link handmatig heeft ingetrokken.

Je vindt dit in het SharePoint-beheercentrum onder Beleid > Delen. Zet de standaard op “Specifieke personen”, dan vraagt elke nieuwe link om aanmelden. Stel daarnaast een maximale geldigheidsduur in voor de resterende “Iedereen”-links, zodat die vanzelf verlopen. Reken op een kwartier. Bestaande links veranderen hier niet door; die blijven werken tot ze opnieuw worden aangemaakt of ingetrokken.

2. Automatisch doorsturen naar externe adressen

Microsoft blokkeert automatisch doorsturen naar adressen buiten je organisatie tegenwoordig standaard, via het beleid voor uitgaande spam. Dat is onderdeel van de secure-by-default-aanpak.

Regels die vóór die wijziging zijn gemaakt, kunnen alleen nog steeds actief zijn. En tenants met een eigen, jaren geleden ingericht uitgaand spambeleid volgen de nieuwe standaard vaak helemaal niet. Iemand die ooit een regel maakte om alles door te sturen naar een privémailbox, stuurt mogelijk nog altijd bedrijfsgegevens naar buiten.

Controleer twee dingen. In het Microsoft Defender-portaal, onder E-mail en samenwerking > Beleid en regels > Antispambeleid > uitgaand, hoort “Automatische doorstuurregels” op Uit of op door het systeem beheerd te staan. Loop daarna de bestaande postvakregels van je gebruikers na op doorsturen naar buiten. Het auditlogboek in Purview laat zien wanneer postvakregels zijn aangemaakt. De tenantinstelling check je in tien minuten; het nalopen van alle postvakken kost meer tijd.

3. Oude goedkeuringen voor externe apps

Sinds medio 2025 staat er standaard een door Microsoft beheerd toestemmingsbeleid aan, dat voorkomt dat gebruikers zelf toestemming geven aan de meeste externe apps die toegang vragen tot hun bestanden en sites. Nieuwe verzoeken gaan naar een beheerder.

Dat geldt vooruit. Apps die eerder toestemming kregen, houden de rechten die ze toen hebben gekregen — inclusief het lezen van mail, agenda’s en bestanden namens die gebruiker. Vaak gaat het om tools die iemand jaren geleden even probeerde, of om een koppeling uit een project dat niemand zich nog herinnert.

Kijken doe je in Microsoft Entra ID > Bedrijfstoepassingen > Alle toepassingen. Sorteer op toestemming door gebruikers en bekijk wat er toegang heeft tot mail, bestanden of agenda. Wat je niet herkent of niet meer gebruikt, trek je op datzelfde scherm in. Reken op een half uur tot een uur, afhankelijk van hoe lang de lijst is. Wil je hier structureel grip op: lees dan ook hoe je externe apps en koppelingen beoordeelt.

4. Bewaartermijn van je auditlogboek

De standaardbewaartermijn voor auditlogboeken in Microsoft 365 ging eind 2023 van 90 naar 180 dagen. Met E5 of de Purview Audit-uitbreiding bewaar je de belangrijkste werkbelastingen — Exchange, SharePoint, OneDrive en Entra ID — een jaar.

Dat is meer dan het was, maar niet altijd genoeg. Een incident dat je pas na acht maanden ontdekt, laat zich met 180 dagen aan logboeken niet meer netjes reconstrueren. En werk je in een sector waar je moet kunnen aantonen wie wanneer bij welke gegevens kon — denk aan de verantwoordingsplicht onder de AVG of aan de eisen die vanuit NIS2 op je afkomen — dan is een langere termijn verstandig. Wij zijn geen juristen; kijk met je adviseur wat in jouw situatie past.

Het bewaarbeleid staat in Purview onder Audit > Bewaarbeleid voor controle. Verlengen kan pas als je licentie het ondersteunt. De instelling zelf is een kwestie van een kwartier.

5. MFA-afdwinging en beveiligingsstandaarden

Dit is de plek waar oude tenants het vaakst rammelen. Beveiligingsstandaarden (Security Defaults) bestaan sinds eind 2019 en staan bij nieuwe tenants automatisch aan. Microsoft heeft daarnaast stap voor stap MFA verplicht gesteld voor beheerhandelingen in de beheercentra.

Tenants van vóór die tijd hebben soms helemaal geen basisafdwinging. Er is ook een klassieke valkuil: zodra je voorwaardelijke toegang (Conditional Access) inschakelt, verwacht Microsoft dat je de MFA-afdwinging via dat beleid regelt en gaan de beveiligingsstandaarden uit. Is die overstap ooit snel gedaan, dan kun je eindigen met beveiligingsstandaarden uit én een beleid dat niet iedereen dekt.

Controleer drie plekken. In het Microsoft Entra-beheercentrum onder Eigenschappen > Beveiligingsstandaarden beheren zie je of die aan of uit staan. Onder Beveiliging > Voorwaardelijke toegang controleer je of er echt een actief beleid is dat MFA afdwingt voor alle gebruikers, beheerders inbegrepen. Let extra op noodaccounts (break-glass), die bewust buiten het beleid worden gehouden en daardoor soms zonder tweede stap achterblijven. Meer achtergrond: wat voorwaardelijke toegang je oplevert en welke vorm van MFA het veiligst is.

Een praktijkscenario

Een installatiebedrijf met 28 medewerkers draaide sinds 2019 op Microsoft 365, ingericht door een vorige leverancier. Op papier was alles in orde: MFA stond aan, er waren back-ups, niemand had ooit iets gemerkt.

De controle duurde een middag. Er stonden 41 actieve “Iedereen met de link”-deellinks open, waarvan er zes naar mappen met offertes wezen. Er waren twee doorstuurregels naar privéadressen, allebei van mensen die er al niet meer werkten. In de lijst met bedrijfstoepassingen stonden negen apps met leesrechten op mail, waarvan er zeven niemand nog iets zeiden. En de beveiligingsstandaarden bleken uit te staan sinds iemand ooit een enkel beleid voor voorwaardelijke toegang had aangezet dat alleen de directie dekte. Twaalf medewerkers logden dus in met alleen een wachtwoord.

Er was niets misgegaan. Dat was precies het punt: niemand had een reden om te kijken.

Zo pak je het aan

Sommige wijzigingen merkt niemand. Andere veranderen hoe je collega’s dagelijks werken. Doe ze in deze volgorde.

Begin met wat onzichtbaar is. De bewaartermijn van je auditlogboek (4) en het opruimen van oude app-goedkeuringen (3) hebben geen enkel effect op je gebruikers.

Daarna het doorsturen (2). Ook stil, tenzij iemand een legitieme doorstuurregel gebruikt — wat zelden voorkomt en wat je dan bewust anders oplost.

Dan de deellinks (1). Dit levert vragen op van collega’s die gewend zijn op “delen” te klikken en de link te plakken. Kondig het aan vóór je de knop omzet.

MFA en voorwaardelijke toegang (5) als laatste. Dit is de zwaarste wijziging en de enige waarmee je mensen kunt buitensluiten. Plan er tijd voor, test met een kleine groep en zorg dat je noodaccount werkt voordat je iets aanzet.

Wil je daarnaast ook de dagelijkse werking van je omgeving verbeteren, dan is deze lijst met instellingen om meer uit Microsoft 365 te halen een logisch vervolg. En als je toch in de beheercentra zit: het loont om meteen je licenties op te schonen.

Wat deze controle niet afdekt

Deze vijf punten gaan over beveiligingsinstellingen die stil zijn blijven staan. Ze vervangen niet wat je dagelijks nodig hebt om je Microsoft 365-omgeving te beveiligen: een anti-phishingbeleid in Microsoft Defender for Office 365 dat verdachte mail blokkeert, beheer van apparaten en een fatsoenlijk wachtwoordbeleid staan daar los van.

Kijk daarnaast af en toe in de aanmeldingslogboeken in Microsoft Entra ID. Verdachte activiteiten — een aanmelding uit een land waar niemand werkt, een reeks mislukte pogingen op een account — zie je daar het snelst. Wat je opvalt, pak je direct op in plaats van bij de volgende ronde.

Veelgestelde vragen

Mijn tenant is pas een jaar oud. Moet ik dit dan ook doen?

Nieuwe tenants starten strakker, dus je hebt een voorsprong. Maar deellinks, app-goedkeuringen en postvakregels ontstaan door gebruik, niet door de leeftijd van je tenant. Die drie zijn in elke omgeving het nakijken waard.

Hoe weet ik of “Iedereen met de link” bij ons nog aanstaat?

Kijk zowel op tenantniveau (SharePoint-beheercentrum, Beleid > Delen) als op siteniveau. Een site kan strenger staan dan de tenant, en andersom. Wat je gebruikers in de praktijk zien, is de combinatie van die twee.

Heb ik hier Business Premium voor nodig?

Voor een deel wel. Deelinstellingen en het uitgaande spambeleid zitten in vrijwel elk abonnement. Voorwaardelijke toegang vraagt Business Premium of hoger, en langere bewaartermijnen voor auditlogboeken vragen E5 of de Purview-uitbreiding. Staat een knop grijs, dan is je licentie meestal de reden.

Kan ik dit zelf doen of moet ik het uitbesteden?

De eerste vier kun je met een beetje handigheid zelf nalopen. De MFA- en voorwaardelijke-toegangkant is de plek waar het misgaat als je te snel gaat: daar helpt het als iemand meekijkt die weet welke uitzonderingen je nodig hebt en hoe je jezelf niet buitensluit.

Wat controleer ik als een account mogelijk is gehackt?

Reset direct het wachtwoord van die gebruiker, meld alle actieve sessies af en controleer de MFA-methodes op onbekende telefoonnummers of een vreemde Microsoft Authenticator-app. Loop daarna de postvakregels na op doorsturen of automatisch verwijderen, en kijk in de aanmeldingslogboeken of er meer accounts zijn geraakt. Is er mail namens jou verstuurd, informeer dan je klanten voordat zij het als eerste merken.

Weet je niet zeker hoe jouw tenant erbij staat? We lopen de instellingen met je door, laten zien wat er echt openstaat en zetten samen een volgorde uit die je collega’s niet in de weg zit. Bel 030-7115791 of mail info@okayict.nl.